捷克工程师Ondrej Surý维护PHP软件包，助数百万网站免遭攻击

49岁的捷克工程师翁德雷·苏里（Ondrej Surý）貌不惊人，在社交网络Mastodon上有273个粉丝。他还有一个Patreon页面，490人每月通过该页面捐助1539欧元（1724美元）。他在页面上用相当技术化的语言这样介绍自己：“我是DEB.SURY.ORG名下PHP及其他软件包的主要Debian打包者。”在这些晦涩的软件概念背后，是一项最近帮助拯救了数百万个网站的志愿工作。数百条社交媒体消息公开感谢他的工作，报纸头条称他为无名英雄。但苏里上周在托斯卡纳度假时接受《国家报》视频采访时，流露出的神情是友善程序员特有的那种，而非喜欢被赞美或爱出风头之人的样子。“我做这件事已经很久了；对我来说这很正常，”他说。这件事真的有那么重要吗？是的。苏里让成千上万的开发者省去了大量麻烦，否则他们不得不长时间工作。今年8月，两家美国安全公司发现了PHP中的两个漏洞，PHP是全球70%网站使用的编程语言。在补丁发布之前，漏洞的细节已经泄露。攻击者可以利用这些漏洞篡改网站、窃取客户数据（无论是现有的还是未来的），甚至访问其他计算机。短短几小时内，数十家机构和政界人士发布了紧急更新提醒。苏里将修补后的代码打包，使其能够快速安装，并且关键的是，他将其适配到了旧版本的PHP上。这件事提供了两个重要教训。第一，即使在2026年，互联网仍然依赖于那些利用业余时间维护开源软件的人的善意。“人们越早认识到软件必须得到维护，我们就会越安全，”苏里说。第二，AI正在加速漏洞的发现，也因此增加了这些志愿者的工作量。一位化名0xosprey的程序员借助AI制作了一张图表，追踪官方“通用漏洞披露”（CVE）数据库中记录的漏洞，展示了它们的快速增长。这一趋势有助于解释忧心忡忡的决策者最近的警告，例如英国国防大臣韦斯·斯特里廷上周敦促英国人在家中储备食物和水，为世界面临的多重危机（包括网络攻击）做准备。成千上万的志愿者真的在维护互联网的支柱吗？“千真万确，”乔治·华盛顿大学教授考特尼·米勒说。“开源软件是一场由志愿者支撑的运动。许多公司从中受益，但最终大部分工作是由个人主导的。通常一个人维护一个项目。”由于他们是志愿者，因换工作、失去兴趣或仅仅是没有时间等原因而停止项目工作的情况很常见。这是现代世界中一种特殊的额外风险。互联网不仅仅是一个网络。它是一个由相互通信的细小部件组成的不可思议的集合体。每个部件都以自己的方式至关重要。在程序员中间，前NASA机器人工程师、xkcd网络漫画创作者兰德尔·门罗的一幅漫画广为流传，后来还被改编以反映苏里的工作。“每一块数字基础设施都建立在开源组件之上，”瑞典开发者丹尼尔·斯滕伯格说，他创建并维护了curl——一个存在于数十亿设备上的数据传输工具——已有数十年。“任何开发软件的人都知道这一点。缺乏远见以及‘我们没有义务付费，所以我们不付’的心态，才是让最糟糕的情况反复出现的原因，”斯滕伯格补充道，并指向那些利用这一局面的公司。这一次是PHP，但事情不会就此止步。“有数百个程序处于同样的境地，”持续扫描整个互联网的网络安全公司Censys的首席技术官迈克尔·施瓦茨说。“它们就像来自不同制造商的重要汽车零件，却只有一小群志愿者在维护。如果一个零件的缺陷让某人能够打开或控制一辆汽车，那么数百万辆汽车就会面临风险，无论是什么品牌，”施瓦茨解释说。苏里的问题不在于他做了别人做不了的工作。相反，是他的经验和专业能力让他能非常轻松地完成。“我做这件事已经很久了；这是我的日常工作，”他说。如果换别人接手，他们需要投入大量时间来学习怎么做。这位捷克工程师认为这是主要挑战：“当我开始做自由软件时，它感觉新鲜、新颖且令人兴奋。我不确定新一代人是否会继续这样看待它。”苏里补充说，我们生活在一个不同的世界里：“现在一切都加速了：互联网运转得快得多。我们有了AI。也许年轻人面对众多可选择的事物感到不知所措。这需要一种特定的心态：想为他人做点什么。”其他候选者可以接管所有这些软件的责任：政府和公司。两种方案都不理想。希望在于新的监管能迫使公司对其发布后未能维护的专有软件承担责任。“问题在于责任。我们已经习惯了所有这些设备都有缺陷，习惯了软件有bug是正常的。但我认为这是不可接受的。从商业产品中获利的公司必须被追究责任，”苏里说，并补充道，“他们应该资助”他们所依赖的自由开源软件项目，斯滕伯格补充说。这种脆弱性，加上AI的崛起，带来了新的挑战。AI确实可以加速攻击，但它也可以改善防御。将会有持续的猫鼠游戏，其节奏可能越来越难以由如此少的人来维持。“漏洞研究一直都是枯燥的，”施瓦茨说。“新的AI工具以指数级速度加快了这一过程，因此有理由预期

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）